Se la tua impresa non rientra nel perimetro NIS2 la normativa non ti impone obblighi diretti: nessuna registrazione, nessuna notifica, nessuna sanzione. L'obbligo è del tuo cliente, che deve presidiare la sicurezza della catena di fornitura e dal 2026 elencare ad ACN i fornitori rilevanti. Per te il rischio non è la multa, ma perdere la fornitura.
No, se la tua impresa non rientra nel perimetro del decreto NIS. La NIS2 non impone obblighi diretti ai fornitori fuori perimetro: l'obbligo appartiene al tuo cliente, che per legge deve presidiare la sicurezza della propria catena di approvvigionamento, compresi i rapporti con i fornitori diretti [1]. La richiesta che ricevi è contrattuale, non normativa.
La differenza conta: non rischi sanzioni dall'Agenzia per la Cybersicurezza Nazionale, ma rischi di non superare una qualifica fornitore o di perdere il contratto. Va trattata come un requisito commerciale, e come tale conviene gestirla bene.
Servono due condizioni insieme: operare in uno dei settori elencati negli allegati al decreto e superare i massimali della piccola impresa, cioè avere almeno 50 addetti oppure oltre 10 milioni di euro di fatturato o totale di bilancio [1].
I settori altamente critici dell'allegato I sono dieci: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC e spazio. L'allegato II aggiunge poste e corrieri, gestione dei rifiuti, chimica, alimentare, manifattura, fornitori di servizi digitali e ricerca. Le pubbliche amministrazioni seguono un allegato dedicato.
Alcune categorie rientrano a prescindere dalle dimensioni, anche se micro: operatori di comunicazione elettronica, prestatori di servizi fiduciari, gestori di registri di nomi di dominio e fornitori di servizi DNS [1].
Sì, ed è il punto che sorprende di più. La qualifica di fornitore rilevante NIS non ha alcuna soglia dimensionale: i criteri sono funzionali e ne basta uno [2].
Il primo criterio riguarda la fornitura di servizi informatici riconducibili alle infrastrutture digitali o alla gestione dei servizi TIC. Il secondo riguarda la fornitura non fungibile: se la sua interruzione produce un impatto significativo sulla capacità del cliente di erogare i servizi per cui rientra nel perimetro, anche perché non esistono alternative disponibili.
Si entra in quell'elenco per cosa si fornisce e per quanto si è sostituibili, non per quanto si è grandi. Tra i dati che il cliente comunica ad ACN per ogni fornitore c'è il codice fiscale, oltre a denominazione, Paese della sede legale e codici CPV della fornitura [2].
Non scatta alcun obbligo a tuo carico. I soggetti NIS comunicano l'elenco dei fornitori rilevanti sulla piattaforma ACN nella finestra annuale che va dal 15 aprile al 31 maggio [2]. Essere indicato significa che il tuo nome entra in quella comunicazione e che il cliente deve poter dimostrare di presidiarti.
Da qui nascono le richieste concrete: questionari, clausole contrattuali sulla sicurezza, richieste di evidenze documentali.
Le richieste ruotano quasi sempre intorno a un nucleo ristretto di misure, che riflettono gli elementi minimi imposti al tuo cliente dall'articolo 24 del decreto [1]: autenticazione a più fattori sugli accessi; backup effettivamente testati in ripristino, non solo esistenti; gestione degli accessi, con revoca al momento giusto; aggiornamenti e gestione delle vulnerabilità; un referente identificato per gli incidenti; risposte scritte e conservabili.
Il referente merita attenzione: il tuo cliente ha 24 ore per la pre-notifica di un incidente significativo al CSIRT Italia e 72 ore per la notifica [1]. Se un problema nasce da un servizio che gli fornisci, deve sapere chi chiamare da te e in quanto tempo rispondi.
Non devi registrarti sulla piattaforma ACN, non devi notificare incidenti all'Agenzia, non sei soggetto a verifiche o ispezioni e non ti si applicano le sanzioni della NIS2, che arrivano a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali e a 7 milioni o all'1,4% per gli importanti [1].
Vale la pena saperlo con precisione: sul tema circolano offerte di adeguamento costruite sulla paura della sanzione, che per un fornitore fuori perimetro semplicemente non esiste.
La prima: la NIS2 non sta arrivando, è già qui. Il decreto legislativo 138/2024 è in vigore dal 16 ottobre 2024 e la fase di prima applicazione si è chiusa il 31 dicembre 2025 [1]. I contenuti che la annunciano come futura risalgono al 2024.
La seconda: il decreto italiano non copre 18 settori. Quel numero appartiene alla direttiva europea; l'allegato I nazionale elenca dieci settori, perché la pubblica amministrazione è disciplinata in un allegato separato [1].
La terza: il 31 ottobre 2026 non è una scadenza di legge. La norma fissa termini che decorrono dalla comunicazione ricevuta da ACN, 18 mesi per le misure e 9 mesi per la notifica [3]: la data è diversa per ogni impresa e si legge sulla piattaforma.
Il modo più efficiente è preparare una volta sola un fascicolo di risposte e riusarlo a ogni questionario: elenco dei servizi che eroghi al cliente, misure adottate sui punti sopra, nome e recapito del referente incidenti, tempi di risposta che ti impegni a rispettare, evidenze allegabili.
Chi risponde in modo ordinato e documentato si distingue dai concorrenti che non rispondono affatto. In diverse filiere questo sta già diventando un criterio di selezione, non una formalità.
Se invece scopri di essere tu un soggetto NIS, il quadro degli adempimenti è un altro: lo trovi nella guida tecnica NIS2 in Italia: obblighi, scadenze e requisiti di compliance.
Guida a cura di Riccardo Rocchi (riccardorocchi.eu) per RATIO Advisory.
Fonti principali: [1] D.lgs. 4 settembre 2024, n. 138, artt. 3, 6, 24, 25, 38 e 42 — Normattiva. [2] Determinazione ACN n. 127437/2026, art. 1 c. 1 lett. ll) e art. 18. [3] Determinazione ACN n. 379907 del 19 dicembre 2025, art. 3. Contenuti verificati sulle fonti ufficiali al 29 luglio 2026.